80%的美國(guó)白領(lǐng)覺(jué)得自己能一眼看穿釣魚(yú)郵件，真測(cè)了一下，只有32%過(guò)關(guān)。這份來(lái)自Darktrace的調(diào)研數(shù)據(jù)，像一盆冷水澆在了企業(yè)安全培訓(xùn)的頭上。

調(diào)研覆蓋了1000名美國(guó)辦公室員工和430名IT及安全決策者。結(jié)果呈現(xiàn)出一種荒誕的割裂：人們對(duì)自己的判斷力過(guò)于樂(lè)觀，而實(shí)戰(zhàn)表現(xiàn)卻慘不忍睹。這種認(rèn)知偏差本身，就是攻擊者最趁手的武器。

AI讓釣魚(yú)郵件學(xué)會(huì)了"說(shuō)人話"

幾年前的釣魚(yú)郵件還帶著鮮明的"異域口音"——拼寫(xiě)錯(cuò)誤、語(yǔ)法別扭、句式生硬。那時(shí)候，仔細(xì)讀一遍就能發(fā)現(xiàn)貓膩。攻擊者往往不是英語(yǔ)母語(yǔ)者，語(yǔ)言障礙成了天然的防火墻。

現(xiàn)在這套玩法徹底失效了。生成式人工智能（Generative AI，一種能自動(dòng)創(chuàng)作文本的技術(shù)）接管了文案工作，釣魚(yú)郵件變得流暢、自然、甚至有點(diǎn)貼心。Darktrace的研究人員指出，去年已有38%的攻擊采用了"新型社會(huì)工程技術(shù)，很可能由AI賦能"。

攻擊者在進(jìn)化，防御體系卻還在用老劇本。

傳統(tǒng)的安全培訓(xùn)三板斧——識(shí)別拼寫(xiě)錯(cuò)誤、警惕陌生發(fā)件人、別點(diǎn)可疑鏈接——在AI生成的精密騙局面前，越來(lái)越像過(guò)期地圖。員工們帶著這份"過(guò)時(shí)攻略"走上戰(zhàn)場(chǎng)，自信滿滿地踩進(jìn)坑里。

培訓(xùn)失效的深層病灶

問(wèn)題不只是技術(shù)迭代太快。調(diào)研揭示了一個(gè)更尷尬的現(xiàn)實(shí)：安全 awareness training（安全意識(shí)培訓(xùn)）正在變成一種形式主義。

很多企業(yè)把培訓(xùn)做成了年度打卡任務(wù)。員工們對(duì)著PPT坐滿兩小時(shí)，點(diǎn)擊"已完成"，然后繼續(xù)用生日當(dāng)密碼。測(cè)試環(huán)節(jié)往往采用夸張的假郵件——"尼日利亞王子遺產(chǎn)"式的拙劣表演，員工輕松識(shí)破，培訓(xùn)順利通過(guò)，雙方都獲得了虛假的安全感。

Darktrace的測(cè)試方法更刁鉆：用高度仿真的真實(shí)場(chǎng)景郵件，不設(shè)預(yù)警，不打招呼。結(jié)果暴露了真相——人們的實(shí)際防御能力，遠(yuǎn)低于自我評(píng)估。

這種"達(dá)克效應(yīng)"（Dunning-Kruger effect，一種認(rèn)知偏差，能力欠缺者容易高估自己）在網(wǎng)絡(luò)安全領(lǐng)域尤其危險(xiǎn)。越是不懂的人，越覺(jué)得自己懂；越是自信的人，越不會(huì)警惕。

企業(yè)還在買(mǎi)"安慰劑"

安全預(yù)算的流向也很說(shuō)明問(wèn)題。大量資金花在采購(gòu)工具、搭建防火墻、部署端點(diǎn)保護(hù)上，但對(duì)"人"這個(gè)最脆弱的環(huán)節(jié)，投入?yún)s停留在表面。

攻擊者早已摸清了這套邏輯。他們不再硬闖技術(shù)防線，而是直接找員工"借鑰匙"。釣魚(yú)郵件的本質(zhì)是社會(huì)工程（Social Engineering，通過(guò)心理操控獲取信息或權(quán)限的手段），技術(shù)只是包裝。再堅(jiān)固的城墻，守城的人開(kāi)了門(mén)，也就形同虛設(shè)。

一些企業(yè)開(kāi)始嘗試新的訓(xùn)練方式：模擬真實(shí)攻擊、即時(shí)反饋、個(gè)性化學(xué)習(xí)路徑。但這類方案成本高、周期長(zhǎng)，管理層往往缺乏耐心。他們更想要一個(gè)"培訓(xùn)完成率100%"的報(bào)表，而不是真正降低風(fēng)險(xiǎn)。

調(diào)研中IT決策者的反饋也耐人尋味。他們中的多數(shù)人承認(rèn)，現(xiàn)有培訓(xùn)效果有限，但推動(dòng)變革的動(dòng)力不足。畢竟，安全事故沒(méi)發(fā)生的時(shí)候，安全投入看起來(lái)都是成本；發(fā)生了，又往往來(lái)不及。

這種集體性的短視，構(gòu)成了另一種"系統(tǒng)性風(fēng)險(xiǎn)"。

個(gè)人能做什么

在技術(shù)對(duì)抗的層面，個(gè)人用戶并非完全被動(dòng)。檢查發(fā)件人域名、懸停預(yù)覽鏈接、警惕 urgency（緊迫感）和威脅話術(shù)，這些老方法依然有效——只是需要更嚴(yán)格的執(zhí)行。

關(guān)鍵在于打破"自動(dòng)駕駛"狀態(tài)。大多數(shù)人處理郵件時(shí)處于半意識(shí)模式，肌肉記憶式地點(diǎn)擊、回復(fù)、轉(zhuǎn)發(fā)。釣魚(yú)攻擊正是利用這種認(rèn)知松懈，在毫秒之間完成滲透。

一個(gè)值得培養(yǎng)的習(xí)慣：遇到任何要求點(diǎn)擊鏈接或提供信息的郵件，主動(dòng)發(fā)起二次驗(yàn)證。不通過(guò)郵件內(nèi)的聯(lián)系方式，而是獨(dú)立查找官方渠道確認(rèn)。這多花的兩分鐘，可能是避免災(zāi)難的最小成本。

但把安全責(zé)任完全推給個(gè)人，本身就是企業(yè)的失職。調(diào)研數(shù)據(jù)已經(jīng)證明，自我感覺(jué)良好≠真的安全。沒(méi)有系統(tǒng)性的訓(xùn)練設(shè)計(jì)、沒(méi)有持續(xù)的實(shí)戰(zhàn)演練、沒(méi)有文化層面的重視，員工只是暴露在火力下的裸奔者。

Darktrace沒(méi)有公布那68%未能識(shí)別釣魚(yú)郵件的人，事后是否接受了針對(duì)性輔導(dǎo)。這個(gè)缺失的細(xì)節(jié)，或許比數(shù)據(jù)本身更能說(shuō)明問(wèn)題——測(cè)試不是為了羞辱，而是為了改進(jìn)。如果測(cè)完即止，那和沒(méi)測(cè)一樣。